NIS2 pour les PME et ETI : ce que la directive demande vraiment

NIS2 est la directive européenne sur la sécurité des réseaux et des systèmes d’information (directive (UE) 2022/2555). Elle a remplacé la première directive NIS en janvier 2023 et devait être transposée en droit national avant octobre 2024. Certains pays l’ont fait à temps, d’autres en débattent encore, mais son contenu est fixé : c’est le même texte partout, et les lois nationales peuvent y ajouter, jamais en retirer.

Pour une entreprise de cinquante personnes, la question est rarement « comment être conforme demain ». C’est plutôt « est-ce que cela nous concerne, et si oui, quelle est la première chose utile à faire ». Ce guide répond aux deux.

Qui est concerné

Trois conditions décident, dans cet ordre.

Votre secteur. La directive liste dix-huit secteurs dans deux annexes. Annexe I, « haute criticité » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques (centres de données, nuage, DNS, réseaux de diffusion de contenu, télécoms, services de confiance), services informatiques gérés et de sécurité gérés pour d’autres entreprises, administration publique et espace. Annexe II, « autres secteurs critiques » : services postaux et d’expédition, gestion des déchets, produits chimiques, production et distribution alimentaires, fabrication de dispositifs médicaux, d’électronique, d’équipements électriques, de machines et de véhicules, places de marché en ligne, moteurs de recherche et réseaux sociaux, et recherche.

Votre taille. Par défaut, seules les entreprises au moins moyennes au sens européen sont concernées : 50 personnes ou plus, ou à la fois un chiffre d’affaires et un total de bilan de plus de 10 millions d’euros. C’est le groupe entier qui compte, entreprises partenaires et liées comprises.

Quelques exceptions à la règle de taille. Les fournisseurs de services DNS, les registres de domaines de premier niveau et les prestataires de services de confiance qualifiés sont concernés quelle que soit leur taille, tout comme les opérateurs télécoms. Un État peut aussi désigner une petite entreprise qui est le seul fournisseur d’un service essentiel dans le pays.

Le test gratuit « Suis-je concerné par NIS2 ? » applique ces règles pour vous, indique l’article qui décide et montre où en est la loi en France, en Allemagne et en Irlande.

Entité essentielle ou importante

Les entités concernées se rangent dans deux catégories. Les grandes entreprises d’un secteur de l’annexe I sont essentielles ; les moyennes de l’annexe I et les moyennes ou grandes de l’annexe II sont importantes.

Les obligations sont les mêmes. Ce qui change, c’est le contrôle et les amendes : les entités essentielles peuvent être auditées à tout moment et risquent jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial ; les entités importantes sont contrôlées après coup, sur indice d’un manquement, avec des amendes jusqu’à 7 millions d’euros ou 1,4 %.

Les dix mesures de l’article 21

L’article 21 demande des mesures « appropriées et proportionnées » et en fixe le minimum :

Des politiques d’analyse des risques et de sécurité des systèmes d’information.
La gestion des incidents.
La continuité d’activité : sauvegardes, reprise après sinistre, gestion de crise.
La sécurité de la chaîne d’approvisionnement, y compris les pratiques de vos fournisseurs.
La sécurité de l’acquisition, du développement et de la maintenance des systèmes, avec le traitement et la divulgation des vulnérabilités.
Des moyens d’évaluer l’efficacité des mesures.
L’hygiène informatique de base et la formation.
La cryptographie et le chiffrement.
La sécurité des ressources humaines, le contrôle des accès et la gestion des actifs.
L’authentification multifacteur et des communications sécurisées.

« Proportionnées » compte. Personne n’attend d’un distributeur alimentaire de 60 personnes qu’il fasse tourner un centre opérationnel de sécurité. Les autorités attendent des mesures à la hauteur du risque, et écrites.

Notifier un incident : 24 heures, 72 heures, un mois

L’article 23 fixe l’horloge pour un incident important, qui perturbe gravement vos services ou cause un dommage considérable à d’autres :

une alerte précoce sous 24 heures après en avoir pris connaissance, qui dit si l’incident peut être malveillant ou avoir des effets dans d’autres pays ;
une notification sous 72 heures, avec une première évaluation ;
un rapport final sous un mois.

C’est l’échéance de 24 heures que les entreprises ratent, parce que personne ne sait qui décide qu’un incident est important, ni qui envoie l’alerte. Décidez-le maintenant, sur une page : qui déclare, qui notifie, qui parle aux clients.

La direction est responsable

L’article 20 demande aux organes de direction d’approuver les mesures de sécurité, d’en superviser la mise en œuvre et de suivre une formation. Dans plusieurs pays, les dirigeants peuvent en répondre personnellement. Pour une petite entreprise, c’est une bonne nouvelle déguisée : la sécurité cesse d’être « le problème de l’informaticien ».

Par où commencer ce mois-ci

Vérifiez si vous êtes concerné, et si votre pays exige déjà un enregistrement (l’Allemagne le fait, auprès du BSI ; en France, l’ANSSI propose un pré-enregistrement sur MonEspaceNIS2).
Listez ce qui est exposé. On ne protège pas ce qu’on ne connaît pas : domaines, sous-domaines, serveurs de messagerie, certificats, ports ouverts. Un audit externe vous donne cette liste en quelques minutes.
Corrigez d’abord ce qui est simple et visible. Une messagerie que n’importe qui peut usurper (pas de politique DMARC, voir SPF, DKIM et DMARC), des certificats qui vont expirer, des services aux vulnérabilités exploitées connues. C’est ce que les attaquants essaient en premier, et ce qu’un auditeur voit en premier.
Écrivez la page « incident » décrite plus haut.
Listez vos fournisseurs critiques et la façon dont vous les vérifiez (voir La sécurité des fournisseurs avec NIS2).
Gardez des preuves. Des rapports datés montrant que des problèmes ont été trouvés puis corrigés valent plus qu’une politique que personne n’applique.

Pas concerné ? Vos clients le sont peut-être

Beaucoup de petites entreprises rencontrent NIS2 sans être visées : un client concerné doit vérifier la sécurité de sa chaîne d’approvisionnement, et vous envoie un questionnaire ou ajoute des clauses au contrat. Pouvoir montrer un rapport externe récent, et la façon dont vous avez corrigé ce qu’il a trouvé, répond à la plupart de ces questions.

Ce que fait Perimetry

Perimetry Cloud audite vos domaines de l’extérieur chaque semaine et rattache chaque constat à la mesure NIS2 qu’il concerne, dans une vue de conformité exportable. Son attestation, vérifiable en ligne, montre à un client ou à un auditeur que vous surveillez votre exposition en continu. Vos fournisseurs sont surveillés de la même façon, avec les contrôles publics uniquement.